如何使用PDFBox提取PDF文件中的数字签名信息？

Question

**问题：如何使用PDFBox提取PDF文件中的数字签名信息？** 在使用PDFBox提取PDF文件中的数字签名信息时，开发者常遇到签名字段无法正确识别、签名数据为空或解析失败等问题。PDFBox作为处理PDF文档的开源库，其对签名的支持较为底层，提取签名信息需要深入理解PDF结构及签名字典。常见的难点包括如何定位签名字段、解析PKCS#7数据、提取证书信息及验证签名有效性。如何通过PDFBox API准确获取签名内容并进行后续处理，是开发者在实现数字签名提取时面临的核心挑战。

Answer 1

使用PDFBox提取PDF文件中的数字签名信息

1. 理解PDF中的数字签名结构

PDF文件中的数字签名通常以表单字段的形式存在，具体存储在/Sig或/DocMDP类型的字段中。每个签名字段包含一个签名字典（Signature Dictionary），其中包含签名值、证书信息、时间戳等。

关键字段包括：

• /Type：字段类型，如/Sig
• /Filter：签名过滤器，如Adobe.PPKLite
• /SubFilter：签名子过滤器，如adbe.pkcs7.detached
• /Contents：签名数据（PKCS#7格式）
• /Cert：签名者证书（可选）

2. 使用PDFBox API定位签名字段

PDFBox提供了PDSignature类来访问PDF文档中的签名信息。开发者可以通过遍历文档的表单字段来查找签名字段。

示例代码如下：

import org.apache.pdfbox.pdmodel.PDDocument;
import org.apache.pdfbox.pdmodel.interactive.form.PDAcroForm;
import org.apache.pdfbox.pdmodel.interactive.form.PDSignatureField;

public class PDFSignatureExtractor {
    public static void main(String[] args) throws Exception {
        try (PDDocument document = PDDocument.load(new File("signed_document.pdf"))) {
            PDAcroForm acroForm = document.getDocumentCatalog().getAcroForm();
            if (acroForm != null) {
                for (PDField field : acroForm.getFields()) {
                    if (field instanceof PDSignatureField) {
                        PDSignature signature = ((PDSignatureField) field).getSignature();
                        System.out.println("Signature Name: " + signature.getName());
                        System.out.println("Filter: " + signature.getFilter());
                        System.out.println("SubFilter: " + signature.getSubFilter());
                        System.out.println("Contents (Hex): " + signature.getContents());
                    }
                }
            }
        }
    }
}

3. 解析PKCS#7签名数据

签名字段中的/Contents字段存储的是PKCS#7格式的签名数据，通常以十六进制字符串形式存储。开发者需要将其转换为字节数组，并使用Bouncy Castle等库进行解析。

示例代码片段（使用Bouncy Castle）：

import org.bouncycastle.cms.CMSSignedData;

public class PKCS7Parser {
    public static void parse(byte[] signatureBytes) throws Exception {
        CMSSignedData cmsSignedData = new CMSSignedData(signatureBytes);
        System.out.println("Signer Information: " + cmsSignedData.getSignerInfos());
        // 可进一步提取证书、验证签名等
    }
}

4. 提取签名证书信息

签名数据中通常包含签名者的X.509证书，开发者可以从PKCS#7对象中提取该证书并进行验证。

示例代码：

import org.bouncycastle.cert.X509CertificateHolder;
import org.bouncycastle.cms.SignerInformation;

public class CertificateExtractor {
    public static void extractCertificates(CMSSignedData cmsData) throws Exception {
        SignerInformation signer = (SignerInformation) cmsData.getSignerInfos().getSigners().iterator().next();
        Collection certCollection = cmsData.getCertificates().getMatches(signer.getSID());
        for (Object cert : certCollection) {
            X509CertificateHolder certificateHolder = (X509CertificateHolder) cert;
            System.out.println("Certificate Subject: " + certificateHolder.getSubject());
        }
    }
}

5. 验证签名有效性

PDFBox本身不提供签名验证功能，开发者需结合Bouncy Castle库进行签名验证。验证过程包括：

1. 提取签名数据
2. 提取原始文档摘要
3. 使用证书公钥验证签名

验证流程图如下：

graph TD A[加载PDF文件] --> B[查找签名字段] B --> C[提取PKCS#7签名数据] C --> D[解析签名字典] D --> E[提取原始文档摘要] E --> F[使用证书验证签名] F --> G{验证结果} G -->|有效| H[签名有效] G -->|无效| I[签名无效或被篡改]